Talloze Nederlandse websites gingen woensdag rond het middaguur offline vanwege een lek in de internetcode PHP. Woensdag tegen het einde van de middag was het lek gedicht. De PHP Foundation, de stichting die deze internetcode beheert, werkte al langer aan een oplossing voor de kwetsbaarheden die nu aan licht kwamen.
is techredacteur van de Volkskrant. Hij schrijft onder meer over digitale autonomie, sociale media en games.
Naar schatting maakt bijna 70 procent van het internet gebruik van PHP. Toen de PHP Foundation dinsdagavond twee kwetsbaarheden bekendmaakte, slaakte het internet een collectieve angstkreet: op een gezaghebbende risicoschaal voor cyberveiligheid scoorde het lek een 9,2 uit 10, volgens de stichting.
Onder meer de Tweede Kamer, de Autoriteit Persoonsgegevens, het Nationaal Cyber Security Centrum (NCSC) en persbureau ANP haalden hun websites uit voorzorg offline. Ook het computernetwerk voor hoger onderwijs, DigiD en MijnOverheid werden tijdelijk op zwart gezet. PHP is een belangrijke computertaal om websites en apps te bouwen.
Ook in België verdwenen sites van het web: onder meer het platform Smartschool werd offline gehad, naast de Vlaamse websites van de tijdschriften Libelle en Knack. De Finse overheid haalde al haar websites offline, en het Franse ministerie van Buitenlandse Zaken meldde dat de websites van lokale administratiekantoren van de overheid niet bereikbaar waren.
Buiten Nederland en deze drie landen bleven websites opmerkelijk genoeg gewoon in de lucht. Het is nog onduidelijk waarom websites elders wel in de lucht werden gehouden.
De PHP Foundation, een non-profitorganisatie die wordt gesteund door donateurs, bracht om vier uur ’s middags een update van de taal uit, een zogenoemde ‘patch’, die het probleem oploste. Later in de middag kwamen veel websites, die eerder uit voorzorg op zwart waren gegaan, alweer online. Zo kwamen de website en app van RTL weer in de lucht, net als het computernetwerk van het hoger onderwijs en een aantal overheidswebsites zoals MijnOverheid.
Volgens zowel de NCSC als de PHP Foundation waren er rondom het tijdstip van de update geen signalen dat er misbruik was gemaakt van het lek.
Het ging om twee kwetsbaarheden, gezamenlijk PHP2Shell genoemd, waardoor kwaadwillenden hun eigen computercode kunnen injecteren in websites die gebruikmaken van PHP. Op websites die de patch van de PHP Foundation nog niet hebben verwerkt, kunnen cybercriminelen door de kwetsbaarheid nog altijd praktisch alles doen wat ze willen, van het stelen van wachtwoorden tot het uitvoeren van frauduleuze aankopen.
Hier waarschuwt het NSCS ook voor: ‘Sommige websites kunnen een knop omzetten, maar voor andere websites kan het langer duren. Afhankelijk van welke versie ze gebruiken’, zei Corine Schipper-Derkse van het NSCS tijdens een persmoment. Na het doorvoeren van de patches zou ‘de weeffout in de software’ volgens Schipper-Derkse moeten zijn hersteld, waarna websites weer online kunnen komen. Dat is volgens de directeur soms een kwestie van minuten, maar het kan ook uren duren.
Al voor de mededeling van de PHP Foundation stond er een update van internetcode PHP op de planning. De stichting haalde die update noodgedwongen naar voren nadat informatie over de kwetsbaarheden was uitgelekt, zoals op de nieuwssite Hacker News.
In een uitgebreide blogpost schreef de PHP Foundation woensdagmiddag dat het al langer wist van het PHP2Shell-lek. Cybersecuritybedrijf Calif had het aangetroffen op 11 augustus. Dat bedrijf nam deel aan ‘Patch the Planet’, een project georganiseerd door ChatGPT-maker OpenAI om kwetsbaarheden in kritieke software zoals PHP op te sporen.
Ook het bedrijf Wiz kwam het lek op het spoor, een ontdekking waarvoor het naar eigen zeggen AI-tools gebruikte. Inmiddels is bekend dat het probleem in PHP al sinds 2004 in de code verstopt zat.
Het is bij dit alles opmerkelijk dat een lek in één computertaal ervoor kon zorgen dat zoveel websites uit de lucht werden gehaald. Dat heeft wellicht verband met het feit dat er bij de non-profitorganisatie slechts elf ontwikkelaars fulltime werken aan de PHP-taal, zoals blijkt uit het recentste transparantierapport. En hoewel talloze commerciële partijen PHP gebruiken, bedraagt het jaarbudget van de PHP Foundation slechts 650 duizend euro.
De PHP Foundation spreekt van ‘structureel falen’: er waren in 2024 al vermoedens van deze kwetsbaarheden, maar door een gebrek aan overeenstemming binnen het beveiligingsteam en de beperkte middelen van de stichting bleef een oplossing lang uit. Naar aanleiding van het incident van woensdag heeft de stichting besloten dat het beslissingen zal doorvoeren waar een meerderheid van programmeurs achter staat. Voorheen moesten zij unaniem voor stemmen.
Luister hieronder naar onze podcast de Volkskrant Elke Dag. Kijk voor al onze podcasts op volkskrant.nl/podcasts.
Geselecteerd door de redactie
Source: Volkskrant